DNSi turvajuht

Mis tahes tegevusega tegeleb ettevõte, peab turvalisus DNS olema lahutamatu osa selle turvaplaanist. Nime muutmise teenuseid, mis muundavad võrgusõlmede nimetused IP-aadressideks, kasutavad sõna otseses mõttes kõik rakendused ja teenused veebis.

Kui ründaja saab kontrolli organisatsiooni DNS-i üle, suudab ta probleemideta:

• võtta endale kontrolli üldkasutuses olevate ressursside üle
• suunata edasi sissetulevaid e-kirju, samuti veebipäringuid ja autentimiskatseid
• luua ja kinnitada SSL/TLS sertifikaate

See juhend käsitleb DNSi turvalisust kahel poolel:

1. Pideva DNS-i jälgimise ja kontrollimise teostamine
2. Kuidas uued DNS-i protokollid, nagu DNSSEC, DOH ja DoT, suudavad aidata kaitsta edastatud DNS-päringute terviklikkust ja konfidentsiaalsust

Mis on DNS-i turvalisus?

DNSi turvalisus hõlmab kahte olulist komponenti:

1. DNS-i teenuste üldise terviklikkuse ja kergesti kättesaadavuse tagamine, mis muundavad võrgusõlmede nimed IP-aadressideks
2. DNS-i tegevuse jälgimine võimalike turvaprobleemide tuvastamiseks teie võrgus

Miks on DNS rünnakute suhtes haavatav?

DNS-i tehnoloogia loodi interneti varajases arengujärgus, kaua enne, kui keegi hakkas mõtlema võrguturbele. DNS töötab ilma autentimiseta ja krüpteerimiseta, pimedalt töötledes mis tahes kasutaja päringuid.

Seetõttu on palju viise, kuidas kasutajat petta ja valeinformatsiooni edastada selle kohta, kus tegelikult toimuvad nimede muundurid IP-aadressideks.

DNS-i turvalisus: küsimused ja koostisosad

DNSi turvalisus koosneb mitmest põhielemendist komponendid, millest igaüht tuleb täieliku kaitse tagamiseks arvesse võtta:

• Serverite ja haldusmenetluste turvalisuse suurendamine: tõstke serverite turvataset ja looge standardne käivitamise malli
• Protokolli täiustamine: rakendage DNSSEC, DoT või DoH
• Analüüs ja aruandlus: lisage DNSi sündmustelogid SIEM-süsteemi, et saada lisakonteksti intsidendi uurimisel
• Küberluure ja ohtude tuvastamine: tellige aktiivne kanal, et saada teavet ohtude kohta
• Automatiseerimine: looge maksimaalselt võimalike stsenaariume, et automatiseerida protsesse

Ülaltoodud kõrgema taseme koostisosad on vaid jäämäe tipp DNS-i turvalisuses. Järgmises osas vaatleme põhjalikumalt konkreetsed rakendused ja parimad praktikad, mida peaksite teadma.

DNS-i rünnakud

• DNS-i manipuleerimine või „mälu mürgitamine“: süsteemi haavatavuse kasutamine DNS-i vahemälu haldamiseks, et suunata kasutajad teise kohta
• DNS-i tunneldamine: kasutatakse peamiselt kaugühenduste kaitseümberpööramiseks
• DNS-i peetus: tavaliikluse DNS-i suunamine teisele siht-DNS-serverile domeeni registratoori muutmise kaudu
• NXDOMAIN rünnak: DDoS-rünnaku sooritamine autoriteediga DNS-serverile, saates vale domeeni päringud, et sundida vastust andma
• phantom domeen: paneb DNS-i lahendaja ootama vastust mitteeksisteerivatelt domeenidelt, mis põhjustab jõudluse langust
• juhuslike alamdomeenide rünnak: häkkinud hostid ja botnetid korraldavad DDoS-rünnaku kehtivale domeenile, kuid suunavad tule valele alamdomeenile, et sundida DNS-serverit teostama kirjeid otsingut ja võtta teenuse üle kontrolli
• domeeni blokeerimine: esindab hulga spämmvasta saatmist DNS-serveri ressursside blokeerimiseks
• botnet-i rünnak tellija varustuse abil: arvutite, modemite, ruuterite ja muude seadmete kogum, mis keskendub arvutusvõimsuse koondamisele kindlasse veebi saidile, et selle liikluseta koormus ületaks

DNS-i kasutavad rünnakud

Rünnakud, mis kasutavad mingil moel DNS-i, et rünnata teisi süsteeme (nt DNS-i kirje muutmine ei ole lõppeesmärk):

• Fast-Flux
• Üksikud Flux-võrgud
• Topelt Flux-võrgud
• DNS-i tunneldamine

DNS-i rünnakud

Rünnakud, mille tulemusena serverist DNS-i tagastatakse soovitud pahatahtlik IP-aadress:

• DNS-i manipuleerimine või „mälu mürgitamine“
• DNS-i peetus

Mis on DNSSEC?

DNSSEC — domeeninime teenuse turbemoodulid — kasutatakse DNS-i kirjete kinnitamiseks ilma igasuguste üldteaveteta iga konkreetse DNS-päringu kohta.

DNSSEC kasutab digitaalsete allkirjade võtmeid (PKI), et kinnitada, kas domeeninime päringu tulemused on saadud lubatud allikast.
DNSSECi rakendamine on mitte ainult parim tööstustava, vaid aitab tõhusalt vältida enamikku DNS-i rünnakutest.

DNSSEC-i tööpõhimõte

DNSSEC töötab sarnaselt TLS/HTTPS-iga, kasutades digitaalsete allkiri jaoks avalikke ja privaatseid võtmete paare. Protsessi üldine ülevaade:

1. DNS-i kirjed allkirjastatakse privaatse ja avaliku võtme paariga
2. DNSSEC-i vastused sisaldavad soovitud kande, samuti allkirja ja avalikku võtit
3. Seejärel avalik võti kasutatakse kande ja allkirja autentimise võrdlemiseks

DNS-i ja DNSSEC-i turvalisus

DNSSEC on vahend DNS-i päringute terviklikkuse kontrollimiseks. See ei mõjuta DNS-i privaatsust. Teisisõnu, DNSSEC võib anda teile kindluse, et vastus teie DNS-i päringule ei ole vale, kuid mis tahes pahatahtlik isik võib neid tulemusi näha täpselt sellisena, nagu need teile edastati.

DoT — DNS TLS-i kaudu

Transport Layer Security (TLS) on krüptograafiline protokoll, mis kaitseb edastatavat teavet võrgus. Kui kliendi ja serveri vahel on loodud turvaline TLS-ühendus, siis edastatud andmed krüpteeritakse ja mingid vahendajad ei saa neid näha.

TLS kasutatakse kõige sagedamini osa HTTPS-i (SSL) raames teie veebibrauseris, kuna päringud saadetakse turvalistele HTTP-serveritele.

DNS-over-TLS (DNS TLS-i kaudu, DoT) kasutab TLS-protokolli UDP-liiklust tavapäraste DNS-päringute krüpteerimiseks.
Nende päringute krüpteerimine tavalise tekstina aitab kaitsta kasutajaid või rakendusi, mis teeb päringuid, paljude rünnakute eest.

• MitM, ehk "inimene keskel": ilma krüpteerimiseta võib vahendussüsteem, mis asub kliendi ja autoriteetse DNS-serveri vahel, potentsiaalselt saata kliendile vastusena vale või ohtliku teabe päringu kohta.
• Nuhtlemine ja jälgimine: ilma päringute krüpteerimiseta on vahendussüsteemidel lihtne näha, millistele saitidele konkreetne kasutaja või rakendus pääseb. Kuigi ainult DNS-i alusel ei saa teada, millist konkreetset lehte veebisaidilt külastatakse, piisab soovitud domeenide teadmisest, et luua süsteemi või konkreetse inimese profiil.

Allikas: California Ülikool Irvine

DoH — DNS HTTPS-i kaudu

DNS-over-HTTPS (DNS üle HTTPS, DoH) on eksperimentaalne protokoll, mida edendavad koos Mozilla ja Google. Selle eesmärgid on sarnased DoT-protokolliga — suurendada inimeste privaatsust internetis, krüpteerides DNS-päringud ja -vastused.

Standardsed DNS-päringud saadetakse üle UDP. Päringuid ja vastuseid saab jälgida selliste tööriistade abil nagu Wireshark. DoT krüpteerib need päringud, kuid need tuvastatakse siiski kui üsna eristuv UDP-traffik võrgus.

DoH kasutab teistsugust lähenemist ning edastab krüpteeritud päringud võrgu sõlmede nimede lahendamiseks HTTPS-ühenduste kaudu, mis näevad võrgu jaoks välja nagu iga teine veebipäring.

See erinevus omab väga olulisi tagajärgi nii süsteemiadministraatoritele kui ka tuleviku nimede lahendamisele.

1. DNS-filtreerimine on levinud meetod veebitrafiku filtreerimiseks, et kaitsta kasutajaid Phishing-rünnakute, pahavara levitavate saitide või muu potentsiaalselt ohtliku internetiaktiivsuse eest ettevõtte võrgus. DoH-protokoll pääseb neist filtritest mööda, mis võib potentsiaalselt suurendada kasutajate ja võrgu riski.
2. Praeguses nimede lahendamise mudelis saavad kõik seadmed võrgus enam-vähem DNS-päringud samast kohast (märkitud DNS-serverilt). DoH ja eelkõige selle Firefoxi realiseering näitab, et tulevikus võib see muutuda. Iga rakendus arvutis võib saada teavet erinevatest DNS-allikatest, mis muudab vigade leidmise ja kõrvaldamise, turvalisuse tagamise ning riskide modelleerimise oluliselt keerulisemaks.

Allikas: www.varonis.com/blog/what-is-powershell

Mis vahe on DNS üle TLS ja DNS üle HTTPS?

Alustame DNS-ist üle TLS (DoT). Siin keskendutakse sellele, et originaal DNS-protokolli ei muudeta, vaid see edastatakse lihtsalt turvaliselt kaitstud kanali kaudu. DoH asetab DNS-i HTTP formaati enne päringute tegemist.

DNS-monitooringu teavitused

DNS-i liikluse tõhus jälgimine teie võrgus kahtlaste anomaaliate osas on hädavajalik häkkimise varaseks tuvastamiseks. Tööriista nagu Varonis Edge kasutamine annab teile võimaluse olla kursis kõikide oluliste näitajatega ja luua profiile iga konto jaoks teie võrgus. Saate seadistada teavituste genereerimise, kui teatud aja jooksul toimuvad mitmed tegevused.

DNS-i muudatuste, kontode asukohtade, samuti konfidentsiaalsete andmete esmakordse kasutamise ja nendele juurdepääsu faktide, samuti väljaspool tööaega toimuvate tegevuste jälgimine on vaid mõned näitajad, mida saab kokku siduda, et koostada ulatuslikum pilt avastamisest.

Allikas: habr.com